CVE-2026-64600 – Инструмент обнаружения и смягчения RefluXFS

Этот репозиторий содержит комплексную C-утилиту для обнаружения, безопасной проверки и смягчения уязвимости RefluXFS (CVE‑2026‑64600) на Linux-системах с файловой системой XFS. Инструмент проверяет ядро на уязвимость, определяет XFS-разделы с включённым reflink, при необходимости выполняет безопасную попытку запуска гонки и разворачивает двухуровневое смягчение (SystemTap-зонд + перемонтирование с reflink=0), когда это требуется.

⚠️ Отказ от ответственности: Этот инструмент предназначен только для авторизованной оценки безопасности и укрепления систем. Используйте его только на системах, которыми вы владеете или на тестирование которых у вас есть явное разрешение. Авторы не несут ответственности за неправомерное использование.

🔥 Обзор уязвимости

CVE-2026-64600 (RefluXFS) — это состояние гонки высокой степени серьёзности в файловой системе XFS ядра Linux, а именно в механизме копирования при записи (CoW) для reflink-файлов (появившемся в ядре 4.11). Непривилегированный локальный злоумышленник может повредить или перезаписать произвольные файлы на том же XFS-томе, создавая гонку конкурентных записей O_DIRECT в reflink-клон против защищённого файла. Повреждение происходит на блочном уровне, переживает перезагрузки и не оставляет следов в журнале ядра.

Затронутые ядра: Linux 4.11 вплоть до исправленных версий:

• 6.12.96+
• 6.18.39+
• 7.1.4+
• 7.2‑rc4+

Воздействие: локальное повышение привилегий до root, постоянное повреждение данных, незаметная перезапись setuid-бинарников или конфиденциальных файлов.

Этот инструмент реализует:

• Определение версии ядра (сверка с исправленными границами).
• Определение XFS-разделов с reflink (проверка /proc/mounts).
• Безопасная проверка гонки (неразрушающий PoC, создающий временные файлы и пытающийся вызвать гонку).
• Многоуровневое смягчение (при использовании -m fix):
  1. SystemTap-зонд – перехватывает системные вызовы FICLONE и copy_file_range на XFS, возвращая -EOPNOTSUPP.
  2. Усиление через перемонтирование – пытается перемонтировать XFS-тома с reflink=0 (защита в глубину).
• Интерактивные рекомендации по устранению уязвимости ядра – предлагает показать исправленную версию и команды обновления для конкретного дистрибутива.
• Выполнение произвольных команд (-c) – запуск произвольных команд (например, id) только в том случае, если система уязвима.

✨ Возможности

• Обнаружение без прав root – проверяет версию ядра и статус reflink XFS без повышенных привилегий.
• Безопасная проверка – опциональный неразрушающий тест запуска гонки (-m exploit).
• Многоуровневое смягчение – разворачивает SystemTap-зонд и перемонтирует XFS с reflink=0 (-m fix, требует root).
• --dry-run – предварительный просмотр действий по смягчению без их применения.
• --force – принудительное развёртывание смягчения, даже если условия не выполнены (лаборатория/демо).
• Интерактивные рекомендации – при обнаружении уязвимости предлагает показать исправленную версию и команды обновления.
• Подробный вывод (-v) для детальной информации о разборе.
• Произвольная команда (-c) – выполнение команды только в том случае, если система уязвима (по умолчанию: id).
• Профессиональный вывод с цветовой кодировкой – понятные сообщения о статусе и вердикты.

📦 Компиляция и установка

git clone https://github.com/Debajyoti0-0/CVE-2026-64600.git
cd cve-2026-64600
gcc -o cve-2026-64600 cve-2026-64600.c -lm -lpthread

Предварительные требования:

• Linux-система с ядром 4.11 или новее (или старше — для обнаружения).
• Для смягчения (-m fix):
  • права root (требуются для перемонтирования и зонда stap).
  • SystemTap установлен (команда stap) – опционально, но рекомендуется для полного смягчения.
  • файловая система XFS с включённым reflink (для возможности эксплуатации уязвимости).

Опционально: Если SystemTap недоступен, инструмент ограничится только усилением через перемонтирование (если это поддерживается версией XFS).

🚀 Использование

Одиночная цель – только обнаружение

./cve-2026-64600

Обнаружение с подробным выводом

./cve-2026-64600 -v

Проверка конкретного пути на XFS reflink

./cve-2026-64600 -p /mnt/data

Безопасная проверка гонки (PoC)

./cve-2026-64600 -m exploit

Автоматический режим – проверка + верификация при уязвимости

./cve-2026-64600 -m auto

Применить смягчение (требуется root)

sudo ./cve-2026-64600 -m fix

Предварительный просмотр действий по смягчению без применения

sudo ./cve-2026-64600 -m fix --dry-run

Принудительное смягчение, даже если условия не выполнены (только лаборатория)

sudo ./cve-2026-64600 -m fix --force

Выполнить произвольную команду при уязвимости (например, показать текущего пользователя)

./cve-2026-64600 -c "whoami"

Выполнить произвольную команду с подробным выводом

./cve-2026-64600 -v -c "id"

⚙️ Справка по флагам

Подробнее о режимах

📝 Примеры вывода

Обнаружение на неуязвимой системе (без XFS reflink)

$ ./cve-2026-64600

┌──────────────────────────────────────────────────────────────────────┐
│ CVE-2026-64600 (RefluXFS) — Mode: check                              │
└──────────────────────────────────────────────────────────────────────┘

─── System Information ───
  Kernel                    5.15.0-91-generic
  Architecture              x86_64
─── Vulnerability Assessment ───
  Kernel Vulnerable         NO
  XFS Reflink (any mount)   DISABLED
  Distribution Affected (heuristic) NO

  ────────────────────────────────────────────────────────────────────
  FINAL VERDICT
  ────────────────────────────────────────────────────────────────────
┌──────────────────────────────────────────────────────────────────────┐
│ SAFE: kernel not vulnerable and no XFS reflink found                 │
└──────────────────────────────────────────────────────────────────────┘
  Kernel: 5.15.0-91-generic (not vulnerable)
  XFS reflink: not detected
  System appears secure against CVE-2026-64600
  ────────────────────────────────────────────────────────────────────

Обнаружение на системе с уязвимым ядром, но без XFS reflink (частичный риск)

$ ./cve-2026-64600

┌──────────────────────────────────────────────────────────────────────┐
│ CVE-2026-64600 (RefluXFS) — Mode: check                              │
└──────────────────────────────────────────────────────────────────────┘

─── System Information ───
  Kernel                    6.12.0-rc2
  Architecture              x86_64
─── Vulnerability Assessment ───
  Kernel Vulnerable         YES
  XFS Reflink (any mount)   DISABLED
  Distribution Affected (heuristic) YES

  A vulnerable kernel was detected. Show remediation advisory? [y/n]: n

  ────────────────────────────────────────────────────────────────────
  FINAL VERDICT
  ────────────────────────────────────────────────────────────────────
┌──────────────────────────────────────────────────────────────────────┐
│ PARTIAL: vulnerable kernel, but no XFS reflink found                 │
└──────────────────────────────────────────────────────────────────────┘
  Kernel: 6.12.0-rc2 (vulnerable)
  XFS reflink: not detected
  Recommendation: still consider kernel update as precaution
  ────────────────────────────────────────────────────────────────────

Полное смягчение на подтверждённо уязвимой системе

$ sudo ./cve-2026-64600 -m fix

┌──────────────────────────────────────────────────────────────────────┐
│ CVE-2026-64600 (RefluXFS) — Mode: fix                                │
└──────────────────────────────────────────────────────────────────────┘

─── System Information ───
  Kernel                    6.12.0-rc2
  Architecture              x86_64
─── Vulnerability Assessment ───
  Kernel Vulnerable         YES
  XFS Reflink (any mount)   ENABLED
  Distribution Affected (heuristic) YES

--- Mitigation Deployment ---
  Layer 2/2: mount-level hardening (remount reflink=0)
  Remounted /mnt/xfs with reflink=0

  Layer 1/2: syscall-level block (SystemTap probe)
  Status                    DEPLOYED (SystemTap)
  Log:  /var/log/refluxfs-block.log
  Stop: sudo pkill -f 'stap.*refluxfs-block'
  Verify: cp --reflink=always /etc/passwd /tmp/test 2>&1 | grep -q 'Operation not supported'

  Status                    MITIGATION ACTIVE (both layers)

--- FINAL VERDICT ---
┌──────────────────────────────────────────────────────────────────────┐
│ CONFIRMED VULNERABLE (race triggered)                                │
└──────────────────────────────────────────────────────────────────────┘
  Kernel: 6.12.0-rc2 (vulnerable)
  XFS reflink: enabled
  Distribution: affected

🛠️ Создание уязвимой тестовой среды

Чтобы протестировать этот инструмент в безопасной среде, вы можете настроить виртуальную машину Linux с XFS-разделом, созданным с параметром reflink=1. Например:

# Create a loop device with an XFS filesystem (reflink enabled)
dd if=/dev/zero of=/tmp/xfs.img bs=1M count=1024
mkfs.xfs -m reflink=1 /tmp/xfs.img
sudo mount -o loop /tmp/xfs.img /mnt/xfs

Затем запустите инструмент на смонтированном пути (-p /mnt/xfs), чтобы проверить обнаружение и смягчение.

🔗 Ссылки

• NIST NVD – CVE-2026-64600
• Коммит upstream ядра Linux 2f4acd0fcd86
• Документация XFS reflink
• CWE-367: Состояние гонки Time-of-check Time-of-use (TOCTOU)

📜 Лицензия

Этот проект распространяется под лицензией GNU General Public License v3.0 — подробности см. в файле LICENSE.

🤝 Вклад в проект

Приветствуются сообщения об ошибках (issues) и pull request'ы. Пожалуйста, убедитесь, что ваш вклад сохраняет ту же функциональность и соответствует этическим правилам использования.

Помните: Всегда получайте надлежащее разрешение перед тестированием любого инструмента безопасности. Будьте этичны и ответственны.